spørgeskemaet spørger, hvem i ledelsen der er ansvarlig for cybersikkerhed

Ledelsen bærer ansvaret, ikke IT-afdelingen

Ved dette spørgsmål ønsker klienten at vide, om ledelsen selv bærer det endelige ansvar for cybersecurity, eller om det er delegeret til en IT-manager eller CISO uden ledelsesdeltagelse. Det svar, som de fleste virksomheder udfylder: en leder er udpeget som endelig ansvarlig, og udførelsen ligger hos en funktionær eller afdeling under denne. Disse to ting er ikke det samme, og spørgeskemaet ønsker ofte at se begge dele: hvem er ansvarlig (ledelsesniveau) og hvem udfører (operationelt niveau).

Konkret dokumentation herfor er sædvanligvis en ledelseskendelse, en funktionsbeskrivelse for CISO'en eller sikkerhedsfunktionæren, eller en passage i informationssikkerhedspolitikken, hvor rolleansvaret er beskrevet. Hvis det dokument mangler, er "nej" eller "endnu ikke bestemt" det ærlige svar — ikke fordi der ingen er ansvarlig, men fordi ansvar ikke er fastlagt. Dette spørgsmål hænger ofte sammen med spørgsmålet om der findes politik for risikoanalyse og beskyttelse af informationssystemer, da denne politik sædvanligvis også nævner, hvem der har godkendt det, og hvem der vedligeholder det.

Hvor det fremgår af direktivet: artikel 21, stk. 2

Forpligtelsen stammer fra artikel 21, stk. 2 i NIS2-direktivet (Direktiv (EU) 2022/2555), som opregner ti foranstaltninger, der falder under ledelsens ansvar, herunder styring og risikostyring. Selve direktivet regulerer ledelsesansvar særskilt: ledelsen skal føre tilsyn med udførelsen og kan stilles til ansvar herfor, selv hvis den daglige udførelse ligger hos en CISO. I Nederland findes denne forpligtelse igen i Cybersikkerhedsloven, som træder i kraft den 15. august 2026. ISO/IEC 27001 bilag A stiller i kontrolforanstaltningerne omkring organisationsstruktur ligeledes krav om dokumenteret rolleansvars­fordeling — virksomheder, der allerede har det certifikat, kan sædvanligvis genbruge denne dokumentation direkte til dette spørgsmål. Er virksomheden er ISO 27001-certificeret, så er det ledelsesmæssige ansvar der sædvanligvis allerede nævnt i anvendelsesomfanget eller politikdokumentet.